Sysmon למתחילים: התקנה, אירועים ושילוב ב-SIEM

מה Sysmon מוסיף

הנושא 'מה Sysmon מוסיף' הוא חלק מרכזי בעבודה על Sysmon למתחילים. מומלץ לפרק אותו לשלוש שאלות: מהו הקלט, איזו החלטה רוצים לקבל, ואיזו ראיה מספיקה כדי להצדיק אותה. השאלות האלה מונעות שימוש אוטומטי בכלי ללא הבנת המטרה.

בתרגול, רשמו את Event ID וה-Provider, Computer, User ו-Logon ID, Process, Parent ו-Command Line, Source IP, Workstation ו-Logon Type, Group/Privilege changes, השוו להתנהגות צפויה והגדירו Pivot אחד לפחות. התוצאה צריכה להיות ניתנת לבדיקה על ידי אנליסט נוסף, כולל מגבלות וצעדי המשך.

התקנה ו-Configuration

הטמעה נכונה מתחילה מדרישות ולא מברירת מחדל. מגדירים אילו Use Cases נתמכים, מה נפח הנתונים, מי מנהל את התצורה ומהו מנגנון Rollback. ב-Sysmon למתחילים יש להפריד בין הגדרות שמייצרות Telemetry לבין הגדרות שמסננות או מעשירות אותה.

לאחר ההגדרה מריצים בדיקה מבוקרת עם נתון צפוי, מאמתים שהאירוע נרשם, שהשדות המרכזיים קיימים ושהשינוי לא יצר עומס או Blind spot. כל שינוי נשמר בגרסה, עם תאריך, בעלים, סיבה ותוצאת בדיקה.

אירועים מרכזיים

הנושא 'אירועים מרכזיים' הוא חלק מרכזי בעבודה על Sysmon למתחילים. מומלץ לפרק אותו לשלוש שאלות: מהו הקלט, איזו החלטה רוצים לקבל, ואיזו ראיה מספיקה כדי להצדיק אותה. השאלות האלה מונעות שימוש אוטומטי בכלי ללא הבנת המטרה.

בתרגול, רשמו את Event ID וה-Provider, Computer, User ו-Logon ID, Process, Parent ו-Command Line, Source IP, Workstation ו-Logon Type, Group/Privilege changes, השוו להתנהגות צפויה והגדירו Pivot אחד לפחות. התוצאה צריכה להיות ניתנת לבדיקה על ידי אנליסט נוסף, כולל מגבלות וצעדי המשך.

שליחה ל-SIEM

הנושא 'שליחה ל-SIEM' הוא חלק מרכזי בעבודה על Sysmon למתחילים. מומלץ לפרק אותו לשלוש שאלות: מהו הקלט, איזו החלטה רוצים לקבל, ואיזו ראיה מספיקה כדי להצדיק אותה. השאלות האלה מונעות שימוש אוטומטי בכלי ללא הבנת המטרה.

בתרגול, רשמו את Event ID וה-Provider, Computer, User ו-Logon ID, Process, Parent ו-Command Line, Source IP, Workstation ו-Logon Type, Group/Privilege changes, השוו להתנהגות צפויה והגדירו Pivot אחד לפחות. התוצאה צריכה להיות ניתנת לבדיקה על ידי אנליסט נוסף, כולל מגבלות וצעדי המשך.

בדיקת עומס וכיסוי

שיפור Sysmon למתחילים חייב להתחיל ב-Baseline. מודדים נפח, שיעור מקרים שימושיים, זמן חקירה, מקורות חסרים והסיבה לסגירה. שינוי שמקטין Alerts אך מסתיר פעילות אמיתית אינו הצלחה.

אפשרויות Tuning כוללות סף, חלון זמן, Allowlist ממוקדת, Context של נכס, Suppression וחריג מבוסס תהליך מאושר. כל חריג צריך בעלים, תוקף ותנאי ביטול. לאחר השינוי מריצים Test corpus ומשווים לפני/אחרי.

מוקדי בדיקה ייחודיים

בנושא הזה מומלץ לבנות מראש מפת ראיות ממוקדת. מוקדי הבדיקה המרכזיים הם: Event ID וה-Provider, Computer, User ו-Logon ID, Process, Parent ו-Command Line, Source IP, Workstation ו-Logon Type, Group/Privilege changes, Sysmon ProcessGuid או SessionGuid. הרשימה אינה Checklist אוטומטי; כל פריט נבחר משום שהוא יכול לקשור בין ישות, פעולה וזמן או להסביר התנהגות לגיטימית.

• Event ID וה-Provider: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• Computer, User ו-Logon ID: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• Process, Parent ו-Command Line: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• Source IP, Workstation ו-Logon Type: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• Group/Privilege changes: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• Sysmon ProcessGuid או SessionGuid: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.

כאשר אחד המוקדים אינו זמין, יש לתעד את הפער ולבחור חלופה. לדוגמה, אם Process identifier אינו יציב, אפשר להיעזר בזמן, Host, User ו-Parent; אם Payload מוצפן, משתמשים ב-Metadata, נפח, תדירות ו-TLS/DNS context.

תהליך עבודה מומלץ

1. הגדירו Scope ושאלת עבודה אחת בנושא Sysmon למתחילים.
2. רשמו את מקורות הנתונים והראיות הדרושים: Event ID וה-Provider, Computer, User ו-Logon ID, Process, Parent ו-Command Line, Source IP, Workstation ו-Logon Type.
3. צרו Baseline קצר של התנהגות תקינה או תוצאה צפויה.
4. בצעו את הבדיקה המינימלית בסביבת מעבדה ושמרו זמן, קלט ופלט.
5. בנו Timeline או טבלת השוואה והפרידו בין עובדה לפרשנות.
6. בצעו Pivot למקור נוסף כדי לאמת או להפריך את ההסבר הראשוני.
7. סכמו החלטה, מגבלות, פעולה מומלצת וקריטריון Retest.

תרחיש מעשי

התרחיש שנבחר הוא הקמת Sysmon במכונת מעבדה ובדיקת שלושה Events. מטרת התרגיל אינה להוכיח יכולת תקיפה, אלא לתרגל איסוף, השוואה ותיעוד בצורה בטוחה. לפני תחילת העבודה מגדירים נתונים מדומים, חלון זמן ותוצאה צפויה.

בסיום התרגיל יש להגיש תוצר שאנליסט או בודק אחר יכול לבקר: צילום או Export של הראיה, Timeline קצר, הנחה ראשונית, ראיה מאמתת, מגבלה והמלצה. כאשר אין ראיה מספקת, המסקנה התקינה היא שהתרחיש לא הוכח.

Checklist מעשי

• ✓בדקו ותעדו: Event ID וה-Provider.
• ✓בדקו ותעדו: Computer, User ו-Logon ID.
• ✓בדקו ותעדו: Process, Parent ו-Command Line.
• ✓בדקו ותעדו: Source IP, Workstation ו-Logon Type.
• ✓בדקו ותעדו: Group/Privilege changes.
• ✓בדקו ותעדו: Sysmon ProcessGuid או SessionGuid.
• ✓ציינו Time zone, גרסת כלי ושעת איסוף.
• ✓שמרו את הנתון הגולמי לפני סינון או שינוי.
• ✓כתבו מה הממצא מוכיח ומה עדיין אינו ידוע.
• ✓הגדירו בעלים ופעולת המשך עם מועד.

טעויות נפוצות

• להסתמך על Event ID בלי שדות.
• לבלבל בין Logon למקור התקיפה.
• להתעלם מ-Logon Type.
• לקשר Processes לפי PID בלבד.
• להניח שכל PowerShell הוא זדוני.
• לסגור אירוע בלי לבדוק Domain Controller.

סיכום ו-CTA

Sysmon למתחילים: התקנה, אירועים ושילוב ב-SIEM הוא נושא שמחבר ידע טכני למשמעת עבודה. התחילו משאלה, אספו רק ראיות רלוונטיות, שמרו הקשר וזמן, ובחרו פעולה שאפשר להצדיק ולבדוק מחדש.

במסלול Cybersecurity & AI של HPI מתרגלים את העקרונות האלה באמצעות מערכות, לוגים ומעבדות. המשך טבעי הוא לעבור למאמרים המקושרים, לבצע את תרגיל המעבדה ולשמור את התוצר כחלק מתיק עבודות מקצועי.

שאלות ותשובות

מקורות

• Microsoft Learn — Sysmon configuration and events
• Microsoft Learn — Windows security auditing
• Microsoft Learn — Sysmon events
• Microsoft Sysinternals — Sysmon
• Microsoft Learn — PowerShell logging
• Microsoft Learn — Entra sign-in logs